Google zahlte im Jahr 2025 mehr als 17 Millionen US-Dollar an über 700 Sicherheitsforscher in verschiedenen Ländern aus, wie aus einer jährlichen Überprüfung seines Vulnerability-Reward-Programms (VRP) hervorgeht. Dies ist der höchste Jahresbetrag in der Geschichte des Programms und liegt außerdem mehr als 40 % über dem Wert von 2024. Das zeigt, dass Google weiterhin auf die externe Forschergemeinschaft setzt, um Schwachstellen in seinen Produkten und Diensten zu entdecken und zu beheben.
Die Ergebnisse des Jahres 2025 fielen mit dem 15. Jahrestag des Programms zusammen, das 2010 gestartet wurde und seitdem seinen Programmumfang und seine Prämienmechanismen kontinuierlich erweitert hat. Google erklärte, dass die Beteiligung externer Forscher zur Verbesserung der Sicherheit seiner Produkte und Nutzer beitrage und zugleich die Akzeptanz dieser Programme durch die Sicherheitsforschungsgemeinschaft widerspiegle.
Eigener Bereich für künstliche Intelligenz
Google startete 2025 ein eigenes Programm für Prämien auf KI-Schwachstellen, nachdem dieser Bereich zuvor im Abuse VRP geregelt worden war. Die Trennung der beiden Programme ging mit Verbesserungen an den Regeln einher, um Forschern mehr Klarheit über den Prüfungsumfang und die Höhe der Prämien zu geben.
Das Chrome VRP fügte außerdem Prämienkategorien für Probleme hinzu, die in KI-Funktionen innerhalb von Chrome entdeckt werden. Damit wurde künstliche Intelligenz zu einem eigenständigen Schwerpunkt in Googles Programm für das Melden von Sicherheitslücken und blieb zugleich Teil des Chrome-Prämienprogramms.
Prämien für das Tool OSV-SCALIBR und Sicherheitsveranstaltungen
Das Unternehmen startete außerdem ein Prämienprogramm für Aktualisierungen des Open-Source-Tools OSV-SCALIBR, eines Tools von Google zur Erkennung von Schwachstellen in Softwareabhängigkeiten. Das Programm belohnt Mitwirkende, die neue Erweiterungen für das Tool bereitstellen und damit dessen Fähigkeiten zur Inventarisierung von Komponenten, zur Erkennung von Schwachstellen oder zum Aufspüren von Geheimnissen verbessern. Google erklärte, dass Beiträge von Nutzern bereits dabei geholfen hätten, eine Reihe intern durchgesickerter Geheimnisse zu entdecken und zu beheben.
Im Oktober veranstaltete Google in Mexiko-Stadt die Konferenz ESCAL8 im Rahmen der Kampagne zum Monat der Sensibilisierung für Cybersicherheit. Die Konferenz umfasste den Workshop init.g(mexico) für Studierende, das Finale des Wettbewerbs HACKCELER8 sowie das an mexikanische Regierungsvertreter gerichtete Seminar Safer with Google.
Ergebnisse der bugSWAT-Veranstaltungen
Die Veranstaltung bugSWAT, eine Live-Hacking-Veranstaltung für geladene Gäste, fand 2025 in mehreren Ausgaben statt. Zu den bekannt gegebenen Ergebnissen gehörten:
- AI bugSWAT in Tokio im April: mehr als 70 Meldungen und Prämien von über 400.000 US-Dollar.
- Cloud bugSWAT in Sunnyvale im Juni: 130 Meldungen und Prämien in Höhe von 1,6 Millionen US-Dollar.
- bugSWAT in Las Vegas im August: 77 Meldungen und Prämien im Wert von 380.000 US-Dollar.
- bugSWAT Mexico im Rahmen der ESCAL8-Konferenz in Mexiko-Stadt: 107 Meldungen und bis zu diesem Zeitpunkt Gesamtprämien in Höhe von 566.000 US-Dollar; die behandelten Bereiche umfassten künstliche Intelligenz, Android und Cloud.
Programmpläne für 2026
Google plant, 2026 mehrere bugSWAT-Veranstaltungen sowie eine neue Ausgabe der Konferenz ESCAL8 zu organisieren. Das Unternehmen erklärte, seine übergeordneten Ziele bestünden darin, sich auf neue Bedrohungen vorzubereiten, sich an sich wandelnde Technologien anzupassen und gemeinsam mit der externen Forschergemeinschaft die Sicherheitslage seiner Produkte und Dienste zu verbessern.
Google weist darauf hin, dass zusätzliche Einzelheiten zu den Programmen Android, Abuse, AI, Cloud, Chrome und OSS, darunter Berichte zu besonders wirkungsvollen Schwachstellen und zentrale Forschungsbereiche, in der erweiterten Fassung der Übersicht im Blog „Security Engineering“ verfügbar sind.